c3.19 机上演習（テーブルトップ）を実施する

机上演習の前に準備する

• 対応者が基本的な IR 手順（証拠用のスナップショット取得、IAM ユーザーの無効化、EC2 インスタンスの隔離）を理解していることを確認します。
• 明確な優先順位を定義しておきます（証拠収集 vs. 運用復旧）。
• インシデント対応のツールを事前に準備します。

演習を実施する

対応チームを「ウォールーム」に集め、ファシリテーターがシナリオを語り、ブルーチームが取るであろう行動を説明（できれば実演）します。ファシリテーターはその行動に応じて話を進め、最後に、見逃された脅威も含めて結果を明かします。コミュニケーション計画とエスカレーション経路、コンプライアンスや契約上の通知義務もカバーします。現実がプレイブック通りに進むことはまれなので、回避手法やアンチフォレンジック（たとえば攻撃者が SIEM 連携を改ざんし、あるリージョンの活動が報告されないようにする）への適応を練習します。教訓を記録し、継続的な改善につなげます。

ハンズオンで練習する方法

• AWS Jam: 一時的な AWS アカウント上で行う、キャプチャー・ザ・フラッグ形式のゲーム化されたセキュリティ課題（有料版 Skill Builder またはトレーニング経由）。
• AWS CloudSaga: AWS CIRT が文書化したセキュリティイベントを自分のサンドボックスでシミュレートする CLI ツール（本番では絶対に使わない）。
• AWS Professional Services SIRS と AWS コンサルティングパートナーは、技術チームから経営層まで向けの構造化されたシミュレーションを支援できます。

参考

シナリオは AWS セキュリティインシデント対応ガイドと自社のプレイブックを土台にします。